JP5512598B2 - 情報共有システム、方法、装置及びプログラム - Google Patents

Description

この発明は、情報セキュリティ技術に関する。特に、二者間で同じ情報を共有するための技術に関する。

二者間でセッション鍵等の情報を共有する技術として、以下のような階層型ＩＤ鍵交換方式が知られている（例えば、非特許文献１参照。）。

＜公開パラメータ＞PIDをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。セキュリティパラメータをkとする。pをkビット素数とし、G,G_Tをそれぞれ双線形写像e:G×G→G_T を効率的に計算可能なg,g_Tを生成元とする群とする。H₁:{0,1}^*→G、H₂:{0,1}^*→Z_p、H:{0,1}^*→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成アルゴリズムは、一様ランダムにマスタ秘密鍵s₀∈Z_pを選び、S₀=1_Gを設定する。1GはGの単位元である。鍵生成アルゴリズムは、マスタ公開鍵P₀=g及びQ₀=P₀ ^s0を計算して公開する。

＜鍵抽出＞ID=(ID₁,…,ID_t-1)に対応するユーザ装置は初期化として、s_t-1∈Z_pを一様ランダムに選び、秘密の状態情報として保持する。同様にして他のユーザのそれぞれも、秘密の状態情報としてZ_pの元を一様ランダムに選択して保持する。ID=(ID₁,…,ID_t-1)に対応するユーザは鍵抽出者として自分の長期秘密鍵(S_t-1,Q₁,…,Q_t-1)を用いて、そのユーザの下位のユーザであってID’=(ID₁,…,ID_t-1,ID_t)に対応するユーザ向けに次のように長期秘密鍵(S_t,Q₁,…,Q_t-1,Q_t)を生成する。ここで、P_t=H₁(ID₁,…,ID_t-1,ID_t)、S_t=S_t-1P_t ^st-1、Q_t=P₀ ^stである。

＜鍵交換＞以下では、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_AはID_A=(ID_A,1,…,ID_A,α)に対応する長期秘密鍵を持ち、ユーザU_BはID_B=(ID_B,1,…,ID_B,β)に対応する長期秘密鍵を持つとする。

１．ユーザU_Aはランダムに短期秘密鍵x^~∈_UZ_pを選ぶ。このとき、ユーザU_Aは、x=H₂(S_A,α,x^~)を計算し、短期公開鍵epk_IDB=(X₀=P₀ ^x,X_B,2=P_B,2 ^x,…,X_B,β=P_B,β ^x)を計算する。ただし、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)である。ユーザU_Aは、epk_IDBをユーザU_Bに送る。

２．ユーザU_Bはランダムに短期秘密鍵y^~∈_UZ_pを選ぶ。このとき、ユーザU_Bは、y=H₂(S_B,β,y^~)を計算し、短期公開鍵epk_IDA=(Y₀=P₀ ^y,Y_A,2=P_A,2 ^y,…,Y_A,α=P_A,α ^y)を計算する。ただし、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)である。ユーザU_Bは、epk_IDAをユーザU_Aに送る。

ユーザU_Bは、共有秘密情報σ₁,σ₂,σ₃をそれぞれ次のように計算する。

σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)
σ₂=e(Q₀,P_A,1)^y
σ₃=(X₀)^y
その後、ユーザU_Bは、セッション鍵K=H(σ₁,σ₂,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。

３．ユーザU_Aは、共有秘密情報σ₁,σ₂,σ₃をそれぞれ次のように計算する。

σ₁=e(Q₀,P_B,1)^x
σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)
σ₃=(Y₀)^x
その後、ユーザU_Aは、セッション鍵K=H(σ₁,σ₂,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。

共有秘密情報には次の関係があるため、ユーザU_Aが計算した共有秘密情報σ₁,σ₂,σ₃はそれぞれユーザU_Bが計算した共有秘密情報σ₁,σ₂,σ₃と一致する。

σ₁=Π_i=1 ^βe(P₀,P_B,i)^xsi-1/Π_i=2 ^βe(P₀,P_B,i)^xsi-1=e(Q₀,P_B,1)^x=e(P₀,P_B,1)^s0x
σ₂=Π_i=1 ^αe(P₀,P_A,i)^ysi-1/Π_i=2 ^αe(P₀,P_A,i)^ysi-1=e(Q₀,P_A,1)^y=e(P₀,P_A,1)^s0y
σ₃=(X₀)^y=(Y₀)^x=P₀ ^xy
このようにして、同一の共有情報であるセッション鍵Kが共有される。

Atsushi Fujioka, Koutarou Suzuki, Kazuki Yoneyama, "Hierarchical ID-Based Authenticated Key Exchange Resilient to Ephemeral Key Leakage", IWSE 2010, LNCS 6434, pp.164-180, 2010

背景技術に記載した技術では、安全性を保証するためにいわゆるギャップ問題の難しさを仮定する必要がある。ギャップ問題とは、探索問題を解くために判定オラクルの利用を許した問題のことであり、一般にいわゆる探索問題よりも解きやすい問題となる。よって、ギャップ問題の難しさを仮定するよりも、探索問題の難しさを仮定した方が仮定を弱めることができるので望ましい。

この発明の課題は、探索問題の難しさを仮定することにより安全性が保証される情報共有システム、方法、装置及びプログラムを提供することである。

この発明の一態様による情報共有システムは、プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDAを情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、短期公開鍵epk_IDAを情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。

探索問題の難しさを仮定することにより安全性を保証することができる。

実施形態の情報共有システムの構成を説明するためのブロック図。 実施形態の情報共有装置Ｕ_Ａの構成を説明するためのブロック図。 実施形態の情報共有装置Ｕ_Ｂの構成を説明するためのブロック図。 実施形態の情報共有装置Ｕ_Ａの処理を説明するためのフローチャート。 実施形態の情報共有装置Ｕ_Ｂの処理を説明するためのフローチャート。

以下、図面を参照してこの発明の一実施形態を説明する。

［アルゴリズム］
まず、この発明のアルゴリズムの例について説明する。

＜公開パラメータ＞PIDをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。すなわち、PIDはプロトコル仕様に応じた所定のビット列である。セキュリティパラメータをkとする。kは、所定の正の整数である。pをkビット素数とし、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを効率的に計算可能なg,g_Tを生成元とする群とする。H₁:{0,1}^*→G、H₂:{0,1}^*→Z_p、H:{0,1}^*→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成アルゴリズムは、一様ランダムにマスタ秘密鍵s₀∈Z_pを選び、S₀=1_Gを設定する。1GはGの単位元である。鍵生成アルゴリズムは、マスタ公開鍵P₀=g及びQ₀=P₀ ^s0を計算して公開する。ここで、P₀の右肩の「s0」は「s₀」を意味する。このように、ある文字の上付きの文字及び数字の一部がその上付きの中で更に上付き又は下付きである場合がある点に留意する。同様に、ある文字の下付きの文字及び数字の一部がその下付きの中で更に上付き又は下付きである場合がある点に留意する。

＜鍵抽出＞ID=(ID₁,…,ID_t-1)に対応するユーザ装置は初期化として、s_t-1∈Z_pを一様ランダムに選び、秘密の状態情報として保持する。同様にして他のユーザのそれぞれも、秘密の状態情報としてZ_pの元を一様ランダムに選択して保持する。ID=(ID₁,…,ID_t-1)に対応するユーザは鍵抽出者として自分の長期秘密鍵(S_t-1,Q₁,…,Q_t-1)を用いて、そのユーザの下位のユーザであってID’=(ID₁,…,ID_t-1,ID_t)に対応するユーザ向けに次のように長期秘密鍵(S_t,Q₁,…,Q_t-1,Q_t)を生成する。ここで、P_t=H₁(ID₁,…,ID_t-1,ID_t)、S_t=S_t-1P_t ^st-1、Q_t=P₀ ^stである。

＜鍵交換＞以下では、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_AはID_A=(ID_A,1,…,ID_A,α)に対応する長期秘密鍵(S_A,α,Q_A,1,…,Q_A,α)を持ち、ユーザU_BはID_B=(ID_B,1,…,ID_B,β)に対応する長期秘密鍵(S_B,β,Q_B,1,…,Q_B,β)を持つとする。

１．ユーザU_Aはランダムに短期秘密鍵x^~ ₁,x^~ ₂∈_UZ_pを選ぶ。このとき、ユーザU_Aは、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算し、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する。ただし、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)である。ユーザU_Aは、epk_IDBをユーザU_Bに送る。

２．ユーザU_Bはランダムに短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを選ぶ。このとき、ユーザU_Bは、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算し、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する。ただし、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)である。ユーザU_Bは、epk_IDAをユーザU_Aに送る。

ユーザU_Bは、共有秘密情報σ₁,σ₂,σ₃をそれぞれ次のように計算する。

σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)
σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)
σ₂=e(Q₀,P_A,1)^y1
σ₂’=e(Q₀,P_A,1)^y2
σ₃=(X₀)^y1
その後、ユーザU_Bは、セッション鍵K=H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。

３．ユーザU_Aは、共有秘密情報σ₁，σ₁’，σ₂，σ₂’，σ₃をそれぞれ次のように計算する。

σ₁=e(Q₀,P_B,1)^x1
σ₁’=e(Q₀,P_B,1)^x2
σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)
σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)
σ₃=(Y₀)^x1
その後、ユーザU_Aは、セッション鍵K=H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。

共有秘密情報には次の関係があるため、ユーザU_Aが計算した共有秘密情報σ₁,σ₁’,σ₂,σ₂’,σ₃はそれぞれユーザU_Bが計算した共有秘密情報σ₁,σ₁’,σ₂,σ₂’,σ₃と一致する。

σ₁=e(P₀,Π_i=1 ^βP_B,i ^si-1)^x1/Π_i=2 ^βe(P₀ ^si-1,P_B,i ^x1)=Π_i=1 ^βe(P₀,P_B,i)^x1si-1/Π_i=2 ^βe(P₀,P_B,i)^x1si-1=e(Q₀,P_B,1)^x1=e(P₀,P_B,1)^s0x1
σ₁’=e(P₀,Π_i=1 ^βP_B,i ^si-1)^x2/Π_i=2 ^βe(P₀ ^si-1,P_B,i ^x2)=Π_i=1 ^βe(P₀,P_B,i)^x2si-1/Π_i=2 ^βe(P₀,P_B,i)^x2si-1=e(Q₀,P_B,1)^x2=e(P₀,P_B,1)^s0x2
σ₂=e(P₀,Π_i=1 ^αP_A,i ^si-1)^y1/Π_i=2 ^αe(P₀ ^si-1,P_A,i ^y1)=Π_i=1 ^αe(P₀,P_A,i)^y1si-1/Π_i=2 ^αe(P₀,P_A,i)^y1si-1=e(Q₀,P_A,1)^y1=e(P₀,P_A,1)^s0y1
σ₂’=e(P₀,Π_i=1 ^αP_A,i ^si-1)^y2/Π_i=2 ^αe(P₀ ^si-1,P_A,i ^y2)=Π_i=1 ^αe(P₀,P_A,i)^y2si-1/Π_i=2 ^αe(P₀,P_A,i)^y2si-1=e(Q₀,P_A,1)^y2=e(P₀,P_A,1)^s0y2
σ₃=(X₀)^y1=(Y₀)^x1=P₀ ^x1y1
このようにして、同一の共有情報であるセッション鍵Kが共有される。

［実施形態］
次に、上記［アルゴリズム］の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。情報共有装置Ｕ_Ａが［アルゴリズム］の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが［アルゴリズム］の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。

情報共有の前に、［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により、マスタ秘密鍵s₀及びマスタ公開鍵P₀=g及びQ₀=P₀ ^s0等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。また、情報共有の前に、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂには、［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により、ID及び秘密の状態情報及び長期秘密鍵が予め定められ、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて下記に説明する計算が行われる。

情報共有装置Ｕ_ＡのIDを、ID_A=(ID_A,1,…,ID_A,α)とする。αは正の整数である。このように、ID_Aはα個のID_Aの断片ID_A,1,…,ID_A,αから構成される。［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により定められた情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)とする。

情報共有装置Ｕ_ＢのIDを、ID_B=(ID_B,1,…,ID_B,β)とする。βは正の整数である。このように、ID_Bはβ個のID_Bの断片ID_B,1,…,ID_B,βから構成される。［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により定められた情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)とする。

情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂによる自分より下位の情報共有装置（ユーザ）に対する鍵の抽出、すなわち長期秘密鍵の生成は、それぞれ図２，３の鍵抽出部１１２，２１２により行われる。

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、ハッシュ値計算部１２、短期公開鍵生成部１３、送信部１４、受信部１５、第一共有秘密情報生成部１６、第二共有秘密情報生成部１７、第三共有秘密情報生成部１８、第四共有秘密情報生成部１９、第五共有秘密情報生成部１１０、共有情報生成部１１１、鍵抽出部１１２を例えば含む。

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、ハッシュ値計算部２２、短期公開鍵生成部２３、送信部２４、受信部２５、第一共有秘密情報生成部２６、第二共有秘密情報生成部２７、第三共有秘密情報生成部２８、第四共有秘密情報生成部２９、第五共有秘密情報生成部２１０、共有情報生成部２１１、鍵抽出部２１２を例えば含む。

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵y^~ ₁,y^~ ₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵x^~ ₁,x^~ ₂は、ハッシュ値計算部１２に送信される。

情報共有装置Ｕ_Ａのハッシュ値計算部１２は、短期秘密鍵x^~ ₁,x^~ ₂及び長期秘密鍵の中のS_A,αを用いて、ハッシュ値x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算する（ステップＡ２）。ハッシュ値x₁は、短期公開鍵生成部１３、第一共有秘密情報生成部１６、第五共有秘密情報生成部１１０に送信される。ハッシュ値x₂は、短期公開鍵生成部１３、第二共有秘密情報生成部１７に送信される。

情報共有装置Ｕ_Ａの短期公開鍵生成部１３は、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する（ステップＡ３）。ここで、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)とする。計算された短期公開鍵epk_IDBは、送信部１４に送信される。

情報共有装置Ｕ_Ａの送信部１４は、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａに送信する（ステップＡ４）。

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵y^~ ₁,y^~ ₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵y^~ ₁,y^~ ₂は、ハッシュ値計算部２２に送信される。

情報共有装置Ｕ_Ｂのハッシュ値計算部２２は、短期秘密鍵y^~ ₁,y^~ ₂及び長期秘密鍵の中のS_B,βを用いて、ハッシュ値y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算する（ステップＢ２）。ハッシュ値y₁は、短期公開鍵生成部２３、第三共有秘密情報生成部２８、第五共有秘密情報生成部２１０に送信される。ハッシュ値y₂は、短期公開鍵生成部２３、第四共有秘密情報生成部２９に送信される。

情報共有装置Ｕ_Ｂの短期公開鍵生成部２３は、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する（ステップＢ３）。ここで、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)とする。計算された短期公開鍵epk_IDAは、送信部２４に送信される。

情報共有装置Ｕ_Ｂの送信部２４は、短期公開鍵epk_IDＡを情報共有装置Ｕ_Ｂに送信する（ステップＢ４）。

情報共有装置Ｕ_Ｂの受信部２５は、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａから受信する（ステップＢ５）。

情報共有装置Ｕ_Ｂの第一共有秘密情報生成部２６は、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する（ステップＢ６）。計算された第一共有秘密情報σ₁は、共有情報生成部２１１に送信される。

情報共有装置Ｕ_Ｂの第二共有秘密情報生成部２７は、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する（ステップＢ７）。計算された第二共有秘密情報σ₁’は、共有情報生成部２１１に送信される。

情報共有装置Ｕ_Ｂの第三共有秘密情報生成部２８は、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する（ステップＢ８）。計算された第三共有秘密情報σ₂は、共有情報生成部２１１に送信される。

情報共有装置Ｕ_Ｂの第四共有秘密情報生成部２９は、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する（ステップＢ９）。計算された第四共有秘密情報σ₂’は、共有情報生成部２１１に送信される。

情報共有装置Ｕ_Ｂの第五共有秘密情報生成部２１０は、第五秘密情報計算部σ₃=(X₀)^y1を計算する（ステップＢ１０）。計算された第五秘密情報計算部σ₃は、共有情報生成部２１１に送信される。

情報共有装置Ｕ_Ｂの共有情報生成部２１１は、H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報とする（ステップＢ１１）。

情報共有装置Ｕ_Ａの受信部１５（図２）は、短期公開鍵epk_IDAを情報共有装置Ｕ_Ａから受信する（ステップＡ５）。

情報共有装置Ｕ_Ａの第一共有秘密情報生成部１６は、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する（ステップＡ６）。計算された第一共有秘密情報σ₁は、共有情報生成部１１１に送信される。

情報共有装置Ｕ_Ａの第二共有秘密情報生成部１７は、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する（ステップＡ７）。計算された第二共有秘密情報σ₁’は、共有情報生成部１１１に送信される。

情報共有装置Ｕ_Ａの第三共有秘密情報生成部１８は、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)（ステップＡ８）。計算された第三共有秘密情報σ₂は、共有情報生成部１１１に送信される。

情報共有装置Ｕ_Ａの第四共有秘密情報生成部１９は、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する（ステップＡ９）。計算された第四共有秘密情報σ₂’は、共有情報生成部１１１に送信される。

情報共有装置Ｕ_Ａの第五共有秘密情報生成部１１０は、第五秘密情報計算部σ₃=(Y₀)^x1を計算する（ステップＡ１０）。計算された第五秘密情報計算部σ₃は、共有情報生成部１１１に送信される。

情報共有装置Ｕ_Ａの共有情報生成部１１１は、H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報とする（ステップＡ１１）。この共有情報は、例えば認証鍵として用いられる。

このようにして、情報共有が行われる。

［変形例等］
情報共有装置Ｕ_Ａの各部間のデータのやり取りは直接行われてもよいし、記憶部１０を介して行われてもよい。同様に、情報共有装置Ｕ_Ｂの各部間のデータのやり取りは直接行われてもよいし、記憶部２０を介して行われてもよい。

上記の例では、共有情報生成部１１１及び共有情報生成部２１１は、ハッシュ関数Hを用いたが、任意の予め定められた関数Fを用いて共有情報を求めてもよい。すなわち、共有情報生成部１１１及び共有情報生成部２１１は、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報としてもよい。

その他、この発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

［安全性の証明］
このように、短期秘密鍵を二重化し、共有情報を計算するための共有秘密情報であって短期秘密鍵に由来する共有秘密情報を短期秘密鍵ごとに計算する。これにより、ギャップ問題の難しさを仮定することなく探索問題の難しさをのみを仮定することで安全性を証明することができる。以下、その安全性の証明の概要を説明する。

まず、探索問題（探索双線形Diffie-Hellman問題）及びギャップ問題（ギャップ双線形Diffie-Hellman問題）の定義を説明する。

探索双線形Diffie-Hellman問題：κをセキュリティパラメータとし、Pをκビット素数とする。Gをgを生成元とする位数pの巡回群とし、G_Tをg_Tを生成元とする巡回群とする。e:G×G→G_Tを双線形写像とする。双線形Diffie-Hellman関数BDH:G³→G_TをBDH(g^u,g^v,g^w)=g_T ^uvwとして定義する。解答者Sは一様ランダムに選ばれたU=g^u,V=g^v,W=g^w,∈Gを入力され、BDH(U,V,W)の出力を試みる。解答者Sのアドバンテージを次のように定義する。

ADV^BDH(S)=Pr[U,V,W∈G,S(g,g_T,U,V,)=BDH(U; V;W)]
ADV^BDH(S)が無視できない確率であるとき、解答者Sは探索双線形Diffie-Hellman 問題を解いたという。

ギャップ双線形Diffie-Hellman 問題：κをセキュリティパラメータとし、pをκビット素数とする。Gをgを生成元とする位数pの巡回群とし、G_Tをg_Tを生成元とする巡回群とする。e:G×G→G_Tを双線形写像とする。双線形Diffie-Hellman関数BDH:G³→G_TをBDH(g^u,g^v,g^w)=g_T ^uvwとして定義し、判定双線形Diffie-Hellman述語オラクルDBDH:G³×G_T→{0,1}を(g^u,g^v,g^w,g_T ^r)を入力としuvw=r mod pが成り立つとき1を出力し、そうでなければ0を出力する関数として定義する。解答者Sは一様ランダムに選ばれたU=g^u,V=g^v,W=g^w∈Gと判定双線形Diffie-Hellman 述語オラクルDBDH(・,・,・,・)へのアクセスを入力され、BDH(U,V,W)の出力を試みる。解答者Sのアドバンテージを次のように定義する。

ADV^GBDH(S)=Pr[U,V,W∈G,S^DBDH(・,・,・,・)(g,U,V,W)=BDH(U,V,W)]
ADV^GBDH(S)が無視できない確率であるとき、解答者Sはギャップ双線形Diffie-Hellman問題を解いたという。

ギャップ問題は上記のように判定オラクルのヒント付きの探索問題とみなせるので、ギャップ問題の方が真に易しい。

情報共有方式の安全性証明を行う際は、「ギャップ問題、もしくは探索問題を解くことが難しいことを仮定すると、情報共有方式への攻撃者が存在しない」ことを示す必要がある。これは、対偶を取ることにより、「情報共有方式への攻撃者が存在すると仮定すると、問題を解く解答者を構成できる」ことを示すことと同値である。したがって、安全性証明では実際に攻撃者から解答者を構成する必要がある。そのためには解答者は攻撃者を実際の攻撃環境と見分けがつかないように動作させなければならない。

既存方式では、攻撃者が出力したσ₁に対してσ₁=e(P_B,1,Q₀)^xとσ²=e(P_A,1,Q₀)^yを解答者が検証し、結果に応じて動作を変えねばならない。しかし、解答者はxとyを知ることができないので、自分で上記の検証を行うことができない。よって、判定オラクルに(P_B,1,Q₀,X,σ₁)と(P_A,1,Q₀,Y,σ₂)を聞き、検証式が成り立つかどうかの答えをもらうことによって証明を行う。このためギャップ問題の難しさを仮定する必要がある。上記の情報共有方式では、双線形ペアリング関数を用いた方式の場合は、w₂=s-rw₁に対してZ₁ ^rZ₂=e(X,Y)^sの真理値がZ₁=e(X,Y)^w1∧Z₂=e(X,Y)^w2の真理値と一致することを利用して検証を行う。このテクニックは落とし戸試験と呼ばれる。実施例では、任意のsとrについて、解答者は証明中でx₂=s-rx₁,y₂=s’-r’y₁と設定することでσ₁ ^rσ₁’=e(P_B,1,Q₀)^sとσ₂ ^r’σ₂’=e(P_A,1,Q₀)^s’の落とし戸試験を行うことで、σ₁=e(P_B,1,Q₀)^x1,σ₁’=e(P_B,1,Q₀)^x2,σ₂=e(P_A,1,Q₀)^y1,σ₂’=e(P_A,1,Q₀)^y2の検証をy₁とx₁を知ること無しに行うことができる。σ₁ ^rσ₁’=e(P_B,1,Q₀)^sとσ₂ ^r’σ₂’=e(P_A,1,Q₀)^s’は解答者の持つ情報のみで検証できるため、判定オラクルは不要であり、ギャップ問題の難しさを仮定する必要が無くなる。

１０ 記憶部
１１ 短期秘密鍵生成部
１２ ハッシュ値計算部
１３ 短期公開鍵生成部
１４ 送信部
１５ 受信部
１６ 第一共有秘密情報生成部
１７ 第二共有秘密情報生成部
１８ 第三共有秘密情報生成部
１９ 第四共有秘密情報生成部
１１０ 第五共有秘密情報生成部
１１１ 共有情報生成部
１１２ 鍵抽出部
２０ 記憶部
２１ 短期秘密鍵生成部
２２ ハッシュ値計算部
２３ 短期公開鍵生成部
２４ 送信部
２５ 受信部
２６ 第一共有秘密情報生成部
２７ 第二共有秘密情報生成部
２８ 第三共有秘密情報生成部
２９ 第四共有秘密情報生成部
２１０ 第五共有秘密情報生成部
２１１ 共有情報生成部
２１２ 鍵抽出部

Claims (6)

1. プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
   短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
   短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDBを上記情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
   を含む情報共有システム。
2. 請求項１の情報共有システムにおいて、
   所定の正の整数をセキュリティパラメータkとして、
   上記関数Fは、ハッシュ関数H:{0,1}^*→{0,1}である、
   情報共有システム。
3. プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
   情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ａのハッシュ値計算部が、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算ステップと、
   情報共有装置Ｕ_Ａの短期公開鍵生成部が、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信ステップと、
   情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ｂのハッシュ値計算部が、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算ステップと、
   情報共有装置Ｕ_Ｂの短期公開鍵生成部が、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信ステップと、
   情報共有装置Ｕ_Ｂの受信部が、短期公開鍵epk_IDBを上記情報共有装置Ｕ_Ａから受信する受信ステップと、
   情報共有装置Ｕ_Ｂの第一共有秘密情報計算部が、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの第二共有秘密情報計算部が、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの第三共有秘密情報計算部が、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの第四共有秘密情報計算部が、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの第五共有秘密情報計算部が、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成ステップと、
   情報共有装置Ｕ_Ａの受信部が、短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
   情報共有装置Ｕ_Ａの第一共有秘密情報計算部が、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの第二共有秘密情報計算部が、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの第三共有秘密情報計算部が、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの第四共有秘密情報計算部が、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの第五共有秘密情報計算部が、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成ステップと、
   を含む情報共有方法。
4. プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
   短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、
   x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)(P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)を上記情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａである情報共有装置。
5. プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
   短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)(P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β))を上記情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂである情報共有装置。
6. 請求項４又は５の情報共有装置の各部としてコンピュータを機能させるためのプログラム。

Images